読み取りペン ログ収集とテレメトリ：デバイスから送信されるデータ、ローカルに保持されるデータ、そして40,000本規模のペン運用にとってそれが重要な理由

対象ユーザー： 本記事は、プライバシー責任者、学校区・省庁のITアーキテスター、ダッシュ監視ベンダーOEM、およびEU・米国・湾岸地域・中南米の買い手に対して「ペンが工場に何を報告しているのか」という質問に回答しなければならないB2B輸入業者向けです。GDPRおよびCOPPAを概念レベルで理解していることを前提に、B1/B2/F8/K7/KF1/L5/P2/Q6/Q8/T2/Y6各ペンから送信されるイベントクラス、その匿名化対象、オプトイン対象、そして絶対に送信されないイベントを正確に知りたい方を対象としています。

前四半期、12,000本のペンを発注したスペインの学校組合がコンプライアンスチームに正確な質問をしました。「GDPR第25条に基づき、デバイスから送信されるデータ、デバイス上に保持されるデータ、そして保護者が保証補償を失うことなくオプトアウトできるかどうか」というものです。正直な答えは23ページにも及びます。ここで公開する短い答えは、テレメトリーイベントはEUではデフォルトでオプトアウト、米国ではCOPPAに基づきデフォルトでオプトイン、サウジアラビアではSFDAに基づきデフォルトでオプトイン、OEMセルフホスト環境ではデフォルトで完全に無効化される、というものです。以下がそのポリシーの技術的背景です。

本記事は、デバイス内のリングバッファ、イベントスキーマ、匿名化パイプライン、アップロードスケジュール、GDPR/COPPA/PIPL/LGPD対応方針、ダッシュボードが開示する情報端末メーカーのものであり、47か国にわたる12,000本超のペンでのテレメトリー運用コストについて解説します。

1. デバイス内リングバッファ

すべてのペンには、ユーザーデータパーティション上に512 KBのリングバッファが搭載されています。このバッファは追加書き込み専用で、タイムインデックス化されており、工場出荷時リセット後も保護者が「診断ログを保持」を選択した場合のみ存続します。エンタープライズ展開ではこれがデフォルトで、小売向けではデフォルトで無効となっています。

1.1 モデル別バッファパラメータ

バッファは、最も発生頻度の高いイベント クラス (app.evt) をモデルに応じて 14〜45 日分保持できるサイズです。バッファはリング バッファで、最も古いイベントから順に上書きされます。

1.2 イベント スキーマ

すべてのレコードは固定 96 バイトの構造体で、1 バイトのタイプ、4 バイトのタイムスタンプ、2 バイトのスキーマ バージョン、および 89 バイトのタイプ固有ペイロードで構成されます。

struct telemetry_event_t {
    uint8_t  type;          // 0x01..0x2C
    uint32_t timestamp;     // 起動からの秒数
    uint16_t schema_ver;    // 例：0x0007
    uint8_t  severity;      // 0..3（info、warn、error、critical）
    uint8_t  reserved;
    uint8_t  payload[80];
    uint16_t crc;           // CRC-16-CCITT
    uint8_t  sig_pad[6];    // Ed25519 短署名用に予約
} __attribute__((packed));

ペイロードはタイプ固有です。boot.end イベントには uint32 のブート時間が含まれ、oid.lookup イベントには uint16 のレイテンシと uint16 の辞書ページバケットが含まれ、app.crash イベントには 64 バイトのスタックフィンガープリントハッシュが含まれます。

2. イベントクラス

44 個のイベントクラスを定義します。すべてがアップロードされるわけではありません。分類は LOCAL(アップロードしない)、TELEMETRY(アップロードし anonymised)、または SUPPORT(明示的なユーザー同意がある場合のみアップロード)です。

18 個の LOCAL イベントはデバイス内に保持され、「中断した場所を再開する」などのアプリ内機能にのみ使用されます。19 個の TELEMETRY イベントは Wi-Fi 経由でバッチアップロードされます。7 個の SUPPORT イベントは、保護者またはフリート管理者が明示的にサポートモードを有効にした場合にのみアップロードされます。

3. 匿名化ルール

すべての TELEMETRY イベントは、アップロード前に 4 段階の匿名化パイプラインを通過します。このパイプラインはデバイス上で実行され、ブートローダーによって強制されるため、侵害されたアプリケーションでもバイパスできません。

1. 識別子の削除 — デバイスシリアル番号は、ブートごとにローテーションするソルトに置き換えられます。このソルトは 128 ビットのランダム値で、コールドブートごとに再生成されます。
2. 値のバケット化 — レイテンシは最も近い 10 ms 単位に丸められます。バッテリー残量は最も近い 5% 単位に丸められます。辞書検索は CEFR レベルにバケット化されます。
3. フィンガープリントのハッシュ化 — スタックトレースはフリートごとのソルトでハッシュ化されます。ソルトは毎月ローテーションされ、アップロードされることはありません。
4. ソースでの集約 — 単一のイベントはデバイス上で 15 分単位のウィンドウに集約されます。デバイスは 30 件の個別イベントではなく、ウィンドウごとに 1 件のレコードをアップロードします。

集約レコードには、ウィンドウのタイムスタンプ、フリート ID(OEM サブキーの 32 ビットハッシュ)、モデル、ファームウェアバージョン、地域コード、および 6 つのメトリックカウンターが含まれます。デバイスシリアル、保護者の名前、子供の名前、子供がタップしたコンテンツは一切含まれません。

4. アップロードスケジュールとバッチ処理

アップロードは Wi-Fi 経由でのみ行われ、セルラー経由では行われません(セルラーモデムは搭載していません)。デフォルトのスケジュールは次のとおりです。

一般的なペンは1日あたり1〜3件のバッチ記録をアップロードし、合計18〜54KBです。12,000本のフリートでは学校週単位で週間アップロード量は1.6〜4.8GBとなり、企業向けブロードバンド回線1本に十分収まります。

5. 各法域（GDPR ／ COPPA ／ PIPL ／ LGPD）への対応方針

テレメトリのデフォルト動作は管轄区域によって異なります。工場は出荷先の規制に基づいてデフォルトを設定します。

すべての管轄区域において、保護者またはフリート管理者は、保証範囲、OTAアップデートへのアクセス、サポートへのアクセスを失うことなくテレメトリを無効化できます。オプトアウトによって無効化されるのは、集計テレメトリを必要とするフリートヘルスダッシュボードのみです。

6. フリートヘルス指標ダッシュボード

OEMパートナーおよび大規模フリート事業者向けに、テレメトリダッシュボードはフリートレベルで9つの指標を提供します。いずれの指標も、個別のデバイスシリアルまでドリルダウンすることはできません。

ダッシュボードは5,000本以上の fleet では無料です。それ未満の場合は、ペン1本あたり年額$0.04が毎月請求されます。

7. テレメトリーパイプラインとメトリクス構成のSVG可視化

8. コスト

購入者へのヒント： EU圏で10,000本を超える展開の場合、発注書にサインオフする前にポータルからデータ削除証明書のサンプルを請求してください。証明書は削除タイムスタンプと削除対象レコードセットのSHA-256が記載された1ページのPDFです。

8. 付録：匿名化の具体例とイベントクラス一覧

8.1 匿名化の具体例

サウジアラビアの学校展開で実際のQ8から取得した以下の生イベントシーケンスをご覧ください。4段階の匿名化パイプラインの各ステップを順に追跡します。

生データ oid.lookup デバイスで取得されたイベント（サンプル時間帯、現地時間14:00〜14:15）：

14:02:11  oid.lookup  serial=QC8-24-118-00472  lat=98ms  page=412  word="الفيل"
14:03:48  oid.lookup  serial=QC8-24-118-00472  lat=104ms page=412  word="يمشي"
14:05:22  oid.lookup  serial=QC8-24-118-00472  lat=88ms  page=412  word="ببطء"
14:09:17  oid.lookup  serial=QC8-24-118-00472  lat=101ms page=412  word="في"
14:11:46  oid.lookup  serial=QC8-24-118-00472  lat=94ms  page=412  word="الحديقة"

ステージ1 — 識別子の除去。シリアル番号は、起動ごとにローテーションされる128ビットのソルトに置換され、その後32ビットのバケットIDにハッシュ化されます。バケットIDは0x4A12F8E1 ソルトなしではシリアル番号に逆変換できず、ソルトは次回のコールドブート時に消去されます。

ステージ 2 — 値をバケット化します。レイテンシは最も近い 10 ms に丸められます。ページは CEFR A1（1〜500 ページ）、A2（501〜1,200 ページ）、B1（1,201〜2,000 ページ）にバケット化されます。

ステージ 3 — ハッシュフィンガープリントを作成します。このウィンドウにはスタックトレースは含まれません。

ステージ 4 — 送信元で集約します。5 件のイベントは 1 件のレコードにまとめられます。

結果：14:15 に 1 件のレコードがアップロードされました：

{
  "fleet_id":   "0x4A12F8E1",
  "model":      "Q8",
  "fw":         "3.3.1",
  "region":     "SA",
  "window":     "2026-09-12T14:15:00Z",
  "events": {
    "oid_lookup_count":   5,
    "oid_lookup_p95_ms":  100,
    "cefr_bucket":        "A2"
  }
}

これがフリートダッシュボードに表示される内容です。子ども、保護者、特定のペンに戻る経路は存在しません — バケット ID は起動ごとにローテーションされます。

8.2 イベントクラス全一覧（n = 44）

サブシステム別およびデフォルトのポリシー別に分類された、完全なイベント分類体系：

44件のイベントのうち、18件がLOCAL、19件がTELEMETRY、7件がSUPPORTです。完全な一覧はOEMポータルのプライバシー影響評価テンプレートに掲載されています。

10. ビジュアル：イベント分類の分布と帯域幅予算

以下の可視化では、3つのイベント分類（LOCAL/TELEMETRY/SUPPORT）の円グラフと、ペン1本当たりの月間帯域幅予算の棒グラフを組み合わせています。152KBという数値は、学校の調達部門と共有する公開済みの契約上の数値です。

関連読書

• 読み上げペン GDPRおよびデータ保護（EU）
• 読み取りペン COPPAと保護者向けコントロール
• 読み取りペン IoTクラウドアーキテクチャ MQTT
• 読み取りペン OTAファームウェアアップデート機構
• 読み取りペン データ暗号化 AES-128 vs AES-256
• OEM読み取りペンプログラム